CVE-2026-86121

See a problem?
Please try reporting it to the source first.
Source
https://cve.org/CVERecord?id=CVE-2026-86121
Import Source
https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-86121.json
JSON Data
https://api.osv.dev/v1/vulns/CVE-2026-86121
Published
2026-09-05T09:59:10.093Z
Modified
2026-09-07T03:45:34.778908733Z
Severity
  • 9.3 (Critical) CVSS_V4 - CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS Calculator
Summary
Cua computer-server before 0.3.42 Unauthenticated RCE via Desktop Control
Details

Cua computer-server versions before 0.3.42 skip authentication when the CONTAINERNAME environment variable is unset and bind to all interfaces by default, allowing unauthenticated attackers to execute arbitrary commands. Attackers can reach TCP port 8000 to run shell commands via the runcommand endpoint, read and write arbitrary files through file operation endpoints, and access interactive PTY shells without authentication.

Database specific 
{
    "cwe_ids": [
        "CWE-306"
    ],
    "cna_assigner": "VulnCheck",
    "osv_generated_from": "https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/86xxx/CVE-2026-86121.json"
}
References

Affected packages

Git / github.com/trycua/cua

Affected ranges

Type
GIT
Repo
https://github.com/trycua/cua
Events
Introduced
0 Unknown introduced commit / All previous commits are affected
Fixed
c6e1c6654bfde76fe967e291bac4e66b93f4c65a
Fixed
59cf25c0ec54
Database specific
Show details 
{
    "source": [
        "DESCRIPTION",
        "REFERENCES"
    ],
    "extracted_events": [
        {
            "introduced": "0"
        },
        {
            "fixed": "0.3.42"
        }
    ]
}

Affected versions

agent-v0.*
agent-v0.1.17
agent-v0.1.18
agent-v0.1.19
agent-v0.1.20
agent-v0.1.21
agent-v0.1.22
agent-v0.1.23
agent-v0.1.24
agent-v0.1.25
agent-v0.1.26
agent-v0.1.27
agent-v0.1.28
agent-v0.1.29
agent-v0.1.30
agent-v0.1.31
agent-v0.1.33
agent-v0.1.34
agent-v0.1.35
agent-v0.1.37
agent-v0.1.38
agent-v0.1.39
agent-v0.1.40
agent-v0.1.41
agent-v0.1.42
agent-v0.1.43
agent-v0.1.44
agent-v0.1.5
agent-v0.1.6
agent-v0.2.0
agent-v0.2.1
agent-v0.2.10
agent-v0.2.11
agent-v0.2.12
agent-v0.2.13
agent-v0.2.14
agent-v0.2.15
agent-v0.2.2
agent-v0.2.3
agent-v0.2.4
agent-v0.2.5
agent-v0.2.6
agent-v0.2.7
agent-v0.2.8
agent-v0.2.9
agent-v0.3.1
agent-v0.3.2
agent-v0.4.0
agent-v0.4.1
agent-v0.4.10
agent-v0.4.12
agent-v0.4.13
agent-v0.4.14
agent-v0.4.15
agent-v0.4.16
agent-v0.4.17
agent-v0.4.18
agent-v0.4.19
agent-v0.4.2
agent-v0.4.20
agent-v0.4.21
agent-v0.4.22
agent-v0.4.23
agent-v0.4.24
agent-v0.4.25
agent-v0.4.26
agent-v0.4.27
agent-v0.4.28
agent-v0.4.29
agent-v0.4.3
agent-v0.4.30
agent-v0.4.31
agent-v0.4.32
agent-v0.4.33
agent-v0.4.34
agent-v0.4.35
agent-v0.4.36
agent-v0.4.37
agent-v0.4.38
agent-v0.4.39
agent-v0.4.4
agent-v0.4.40
agent-v0.4.41
agent-v0.4.42
agent-v0.4.43
agent-v0.4.44
agent-v0.4.45
agent-v0.4.46
agent-v0.4.47
agent-v0.4.48
agent-v0.4.49
agent-v0.4.5
agent-v0.4.50
agent-v0.4.51
agent-v0.4.52
agent-v0.4.53
agent-v0.4.6
agent-v0.4.7
agent-v0.4.8
agent-v0.4.9
agent-v0.5.0
agent-v0.5.1
agent-v0.5.2
agent-v0.6.0
agent-v0.6.1
agent-v0.6.2
agent-v0.7.0
agent-v0.7.1
agent-v0.7.10
agent-v0.7.11
agent-v0.7.12
agent-v0.7.13
agent-v0.7.14
agent-v0.7.15
agent-v0.7.16
agent-v0.7.17
agent-v0.7.18
agent-v0.7.19
agent-v0.7.2
agent-v0.7.20
agent-v0.7.21
agent-v0.7.22
agent-v0.7.23
agent-v0.7.24
agent-v0.7.25
agent-v0.7.26
agent-v0.7.27
agent-v0.7.28
agent-v0.7.29
agent-v0.7.3
agent-v0.7.30
agent-v0.7.31
agent-v0.7.32
agent-v0.7.33
agent-v0.7.34
agent-v0.7.35
agent-v0.7.36
agent-v0.7.37
agent-v0.7.38
agent-v0.7.39
agent-v0.7.4
agent-v0.7.5
agent-v0.7.6
agent-v0.7.8
agent-v0.7.9
agent-v0.8.0
agent-v0.8.1
agent-v0.8.2
agent-v0.8.3
agent-v0.8.4
auto-v0.*
auto-v0.1.1
auto-v0.1.2
bench-v0.*
bench-v0.2.0
bench-v0.2.1
bench-v0.2.10
bench-v0.2.11
bench-v0.2.3
bench-v0.2.4
bench-v0.2.5
bench-v0.2.6
bench-v0.2.7
bench-v0.2.8
bench-v0.2.9
cli-v0.*
cli-v0.1.1
cli-v0.1.10
cli-v0.1.11
cli-v0.1.12
cli-v0.1.2
cli-v0.1.3
cli-v0.1.4
cli-v0.1.5
cli-v0.1.6
cli-v0.1.7
cli-v0.1.8
cli-v0.1.9
computer-server-v0.*
computer-server-v0.1.10
computer-server-v0.1.11
computer-server-v0.1.12
computer-server-v0.1.13
computer-server-v0.1.14
computer-server-v0.1.15
computer-server-v0.1.16
computer-server-v0.1.17
computer-server-v0.1.18
computer-server-v0.1.19
computer-server-v0.1.20
computer-server-v0.1.22
computer-server-v0.1.23
computer-server-v0.1.25
computer-server-v0.1.26
computer-server-v0.1.27
computer-server-v0.1.28
computer-server-v0.1.29
computer-server-v0.1.3
computer-server-v0.1.30
computer-server-v0.1.31
computer-server-v0.1.4
computer-server-v0.1.5
computer-server-v0.1.6
computer-server-v0.1.7
computer-server-v0.1.8
computer-server-v0.1.9
computer-server-v0.2.0
computer-server-v0.3.0
computer-server-v0.3.1
computer-server-v0.3.10
computer-server-v0.3.11
computer-server-v0.3.12
computer-server-v0.3.13
computer-server-v0.3.14
computer-server-v0.3.15
computer-server-v0.3.16
computer-server-v0.3.17
computer-server-v0.3.18
computer-server-v0.3.19
computer-server-v0.3.2
computer-server-v0.3.20
computer-server-v0.3.21
computer-server-v0.3.22
computer-server-v0.3.23
computer-server-v0.3.24
computer-server-v0.3.25
computer-server-v0.3.26
computer-server-v0.3.27
computer-server-v0.3.28
computer-server-v0.3.29
computer-server-v0.3.3
computer-server-v0.3.30
computer-server-v0.3.31
computer-server-v0.3.32
computer-server-v0.3.33
computer-server-v0.3.34
computer-server-v0.3.35
computer-server-v0.3.36
computer-server-v0.3.37
computer-server-v0.3.38
computer-server-v0.3.39
computer-server-v0.3.4
computer-server-v0.3.40
computer-server-v0.3.41
computer-server-v0.3.5
computer-server-v0.3.6
computer-server-v0.3.7
computer-server-v0.3.8
computer-server-v0.3.9
computer-v0.*
computer-v0.1.18
computer-v0.1.19
computer-v0.1.20
computer-v0.1.21
computer-v0.1.22
computer-v0.1.23
computer-v0.1.24
computer-v0.1.26
computer-v0.1.27
computer-v0.1.28
computer-v0.1.29
computer-v0.1.6
computer-v0.1.7
computer-v0.2.0
computer-v0.2.1
computer-v0.2.10
computer-v0.2.11
computer-v0.2.12
computer-v0.2.13
computer-v0.2.2
computer-v0.2.3
computer-v0.2.4
computer-v0.2.5
computer-v0.2.6
computer-v0.2.7
computer-v0.2.8
computer-v0.2.9
computer-v0.3.0
computer-v0.3.1
computer-v0.3.2
computer-v0.3.3
computer-v0.3.4
computer-v0.3.5
computer-v0.3.6
computer-v0.3.7
computer-v0.4.0
computer-v0.4.10
computer-v0.4.11
computer-v0.4.12
computer-v0.4.13
computer-v0.4.14
computer-v0.4.15
computer-v0.4.16
computer-v0.4.17
computer-v0.4.18
computer-v0.4.19
computer-v0.4.2
computer-v0.4.3
computer-v0.4.4
computer-v0.4.5
computer-v0.4.6
computer-v0.4.7
computer-v0.4.8
computer-v0.4.9
computer-v0.5.0
computer-v0.5.1
computer-v0.5.10
computer-v0.5.11
computer-v0.5.12
computer-v0.5.13
computer-v0.5.14
computer-v0.5.15
computer-v0.5.16
computer-v0.5.17
computer-v0.5.18
computer-v0.5.19
computer-v0.5.4
computer-v0.5.5
computer-v0.5.6
computer-v0.5.7
core-v0.*
core-v0.1.12
core-v0.1.13
core-v0.1.14
core-v0.1.16
core-v0.1.17
core-v0.1.18
core-v0.1.19
core-v0.1.3
core-v0.1.4
core-v0.1.5
core-v0.1.6
core-v0.1.7
core-v0.1.8
core-v0.1.9
core-v0.2.0
core-v0.3.0
core-v0.3.1
cua-driver-rs-v0.*
cua-driver-rs-v0.1.3
cua-driver-rs-v0.1.4
cua-driver-rs-v0.2.0
cua-driver-rs-v0.2.1
cua-driver-rs-v0.2.10
cua-driver-rs-v0.2.11
cua-driver-rs-v0.2.12
cua-driver-rs-v0.2.13
cua-driver-rs-v0.2.14
cua-driver-rs-v0.2.15
cua-driver-rs-v0.2.16
cua-driver-rs-v0.2.17
cua-driver-rs-v0.2.18
cua-driver-rs-v0.2.2
cua-driver-rs-v0.2.3
cua-driver-rs-v0.2.4
cua-driver-rs-v0.2.5
cua-driver-rs-v0.2.6
cua-driver-rs-v0.2.7
cua-driver-rs-v0.2.8
cua-driver-rs-v0.2.9
cua-driver-rs-v0.3.0
cua-driver-rs-v0.3.1
cua-driver-rs-v0.3.2
cua-driver-rs-v0.3.3
cua-driver-rs-v0.3.4
cua-driver-rs-v0.3.5
cua-driver-rs-v0.3.6
cua-driver-rs-v0.4.0
cua-driver-rs-v0.4.1
cua-driver-rs-v0.4.2
cua-driver-rs-v0.4.3
cua-driver-rs-v0.5.0
cua-driver-rs-v0.5.1
cua-driver-rs-v0.5.2
cua-driver-rs-v0.5.3
cua-driver-rs-v0.5.4
cua-driver-rs-v0.5.5
cua-driver-rs-v0.5.6
cua-driver-rs-v0.5.7
cua-driver-rs-v0.5.8
cua-driver-rs-v0.6.0
cua-driver-rs-v0.6.1
cua-driver-rs-v0.6.2
cua-driver-rs-v0.6.3
cua-driver-rs-v0.6.4
cua-driver-rs-v0.6.5
cua-driver-rs-v0.6.6
cua-driver-rs-v0.6.7
cua-driver-v0.*
cua-driver-v0.0.10
cua-driver-v0.0.11
cua-driver-v0.0.12
cua-driver-v0.0.13
cua-driver-v0.0.14
cua-driver-v0.0.15
cua-driver-v0.0.2
cua-driver-v0.0.3
cua-driver-v0.0.4
cua-driver-v0.0.5
cua-driver-v0.0.6
cua-driver-v0.0.7
cua-driver-v0.0.8
cua-driver-v0.0.9
cua-driver-v0.1.0
cua-driver-v0.1.1
cua-driver-v0.1.2
cua-driver-v0.1.3
cua-driver-v0.1.4
cua-driver-v0.1.5
cua-driver-v0.1.6
cua-driver-v0.1.7
cua-driver-v0.1.8
cua-driver-v0.1.9
cua-driver-v0.2.0
cua-v0.*
cua-v0.1.1
cua-v0.1.2
cua-v0.1.3
cua-v0.1.4
cua-v0.1.5
cua-v0.1.6
cua-v0.1.7
cua-v0.1.8
cuabot-v1.*
cuabot-v1.0.1
cuabot-v1.0.10
cuabot-v1.0.11
cuabot-v1.0.12
cuabot-v1.0.13
cuabot-v1.0.14
cuabot-v1.0.2
cuabot-v1.0.3
cuabot-v1.0.4
cuabot-v1.0.5
cuabot-v1.0.6
cuabot-v1.0.7
cuabot-v1.0.8
cuabot-v1.0.9
docker-cua-qemu-android-v0.*
docker-cua-qemu-android-v0.1.2
docker-cua-qemu-android-v0.1.3
docker-cua-qemu-linux-v0.*
docker-cua-qemu-linux-v0.1.1
docker-cua-qemu-linux-v0.1.2
docker-cua-qemu-linux-v0.1.3
docker-cua-qemu-linux-v0.1.4
docker-cua-qemu-windows-v0.*
docker-cua-qemu-windows-v0.1.1
docker-cua-qemu-windows-v0.1.2
docker-cua-qemu-windows-v0.1.3
docker-cuabot-v1.*
docker-cuabot-v1.0.4
docker-cuabot-v1.0.5
docker-kasm-v0.*
docker-kasm-v0.1.1
docker-kasm-v0.1.2
docker-kasm-v0.1.3
docker-kasm-v0.1.4
docker-lumier-v0.*
docker-lumier-v0.1.2
docker-xfce-v0.*
docker-xfce-v0.1.1
docker-xfce-v0.1.10
docker-xfce-v0.1.11
docker-xfce-v0.1.12
docker-xfce-v0.1.13
docker-xfce-v0.1.14
docker-xfce-v0.1.15
docker-xfce-v0.1.2
docker-xfce-v0.1.3
docker-xfce-v0.1.5
docker-xfce-v0.1.6
docker-xfce-v0.1.7
docker-xfce-v0.1.8
docker-xfce-v0.1.9
lume-v0.*
lume-v0.1.14
lume-v0.1.15
lume-v0.1.16
lume-v0.1.17
lume-v0.1.18
lume-v0.1.19
lume-v0.1.20
lume-v0.1.21
lume-v0.1.22
lume-v0.1.23
lume-v0.1.24
lume-v0.1.25
lume-v0.1.26
lume-v0.1.27
lume-v0.1.28
lume-v0.1.29
lume-v0.1.30
lume-v0.1.31
lume-v0.1.32
lume-v0.1.33
lume-v0.1.34
lume-v0.1.35
lume-v0.1.36
lume-v0.1.37
lume-v0.1.38
lume-v0.2.0
lume-v0.2.1
lume-v0.2.10
lume-v0.2.11
lume-v0.2.12
lume-v0.2.13
lume-v0.2.14
lume-v0.2.15
lume-v0.2.16
lume-v0.2.17
lume-v0.2.18
lume-v0.2.19
lume-v0.2.2
lume-v0.2.20
lume-v0.2.21
lume-v0.2.22
lume-v0.2.23
lume-v0.2.25
lume-v0.2.26
lume-v0.2.27
lume-v0.2.28
lume-v0.2.29
lume-v0.2.3
lume-v0.2.30
lume-v0.2.31
lume-v0.2.32
lume-v0.2.33
lume-v0.2.34
lume-v0.2.35
lume-v0.2.36
lume-v0.2.37
lume-v0.2.38
lume-v0.2.39
lume-v0.2.4
lume-v0.2.40
lume-v0.2.41
lume-v0.2.42
lume-v0.2.43
lume-v0.2.44
lume-v0.2.45
lume-v0.2.46
lume-v0.2.47
lume-v0.2.48
lume-v0.2.49
lume-v0.2.5
lume-v0.2.50
lume-v0.2.51
lume-v0.2.52
lume-v0.2.53
lume-v0.2.54
lume-v0.2.55
lume-v0.2.56
lume-v0.2.57
lume-v0.2.58
lume-v0.2.59
lume-v0.2.6
lume-v0.2.60
lume-v0.2.61
lume-v0.2.62
lume-v0.2.63
lume-v0.2.64
lume-v0.2.65
lume-v0.2.66
lume-v0.2.67
lume-v0.2.68
lume-v0.2.69
lume-v0.2.7
lume-v0.2.70
lume-v0.2.71
lume-v0.2.72
lume-v0.2.73
lume-v0.2.74
lume-v0.2.75
lume-v0.2.76
lume-v0.2.77
lume-v0.2.78
lume-v0.2.79
lume-v0.2.8
lume-v0.2.80
lume-v0.2.81
lume-v0.2.82
lume-v0.2.83
lume-v0.2.84
lume-v0.2.85
lume-v0.2.86
lume-v0.2.9
lume-v0.3.0
lume-v0.3.1
lume-v0.3.10
lume-v0.3.2
lume-v0.3.3
lume-v0.3.4
lume-v0.3.5
lume-v0.3.6
lume-v0.3.7
lume-v0.3.8
lume-v0.3.9
mcp-server-v0.*
mcp-server-v0.1.0
mcp-server-v0.1.1
mcp-server-v0.1.10
mcp-server-v0.1.11
mcp-server-v0.1.12
mcp-server-v0.1.13
mcp-server-v0.1.15
mcp-server-v0.1.16
mcp-server-v0.1.2
mcp-server-v0.1.3
mcp-server-v0.1.4
mcp-server-v0.1.5
mcp-server-v0.1.6
mcp-server-v0.1.7
mcp-server-v0.1.8
mcp-server-v0.1.9
npm-cli-v0.*
npm-cli-v0.1.9
npm-cli-v0.2.0
npm-computer-v0.*
npm-computer-v0.1.5
npm-computer-v0.1.6
npm-core-v0.*
npm-core-v0.1.3
npm-core-v0.1.4
npm-playground-v0.*
npm-playground-v0.1.0
npm-playground-v0.1.1
npm-playground-v0.1.2
npm-playground-v0.1.3
npm-playground-v0.1.4
npm-playground-v0.2.0
npm-playground-v0.2.1
npm-playground-v0.2.2
npm-playground-v0.2.3
npm-playground-v0.2.4
pylume-v0.*
pylume-v0.1.11
pylume-v0.1.12
pylume-v0.1.13
pylume-v0.1.14
pylume-v0.1.15
pylume-v0.1.16
pylume-v0.1.17
pylume-v0.2.0
pylume-v0.2.1
sandbox-apps-v0.*
sandbox-apps-v0.1.1
sandbox-v0.*
sandbox-v0.1.1
sandbox-v0.1.10
sandbox-v0.1.11
sandbox-v0.1.12
sandbox-v0.1.13
sandbox-v0.1.14
sandbox-v0.1.15
sandbox-v0.1.16
sandbox-v0.1.2
sandbox-v0.1.3
sandbox-v0.1.4
sandbox-v0.1.5
sandbox-v0.1.6
sandbox-v0.1.7
sandbox-v0.1.8
sandbox-v0.1.9
som-v0.*
som-v0.1.1
som-v0.1.2
som-v0.1.3
som-v0.1.4
train-v0.*
train-v0.1.1
v0.*
v0.1.1
v0.1.10
v0.1.11
v0.1.12
v0.1.13
v0.1.2
v0.1.3
v0.1.4
v0.1.5
v0.1.6
v0.1.7
v0.1.8
v0.1.9

Database specific

source 
"https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-86121.json"